Nega Azure’dagi VPN qurilmali VM qaytish yo’lini yo’qotadi
Azure VM’dagi VPN qurilmasi UDR, tarmoq kartasining uzatish bayrog’i va mehmon siyosati mos kelishini talab qiladi. Bitta filial so’rovini uchtasi orqali kuzatib boring.
VPN qurilmasini ishlatayotgan Azure VM ikkita mustaqil qaror qabul qilish tizimi ichida turadi. Paket qaysi quyi tarmoqdan chiqishini Azure marshrut jadvallari va tarmoq kartasining uzatish sozlamasi yordamida hal qiladi. Shifri ochilgan paketni keyin uzatish-uzatmaslikni qurilmaning o’z operatsion tizimi hal qiladi. Mukammal ko’tarilgan tunnel baribir ikkinchi tizimda muvaffaqiyatsiz bo’lishi mumkin, va bunday joylashtirishlarning aksariyati aynan shu yerda to’xtaydi.
Bitta yo’lning uch egasi
Filial tarmog’ini oling 192.168.50.0/24 va ish yuklamasi quyi tarmog’ini oling 10.0.10.0/24, qurilma esa manzilda 10.0.0.4 o’z quyi tarmog’ida. Bitta so’rov uchta alohida konfiguratsiyaga tegadi.
| Decision | Configured in | How it fails |
|---|---|---|
| Where the workload subnet sends branch traffic | Azure route table entry | Traffic leaves the subnet and never reaches the appliance |
| Whether a NIC may accept traffic not addressed to it | Azure NIC IP forwarding | Packets arrive and disappear at the interface |
| Whether the guest forwards decrypted traffic | Guest OS or vendor appliance policy | Tunnel is up, workload is unreachable |
| Whether the workload accepts the source | NSG and service policy | Requests delivered, replies refused |
Aksariyat tashkilotlarda har bir qatorni boshqa jamoa egallaydi, shuning uchun bu nosozlik odatda bitta emas, uchta bileti ko’rinishida keladi.
Qurilmaga ishora qiluvchi marshrut
Marshrut jadvalini ish yuklamasi quyi tarmog’iga bog’lang va filial prefiksiga Virtual appliance turidagi keyingi sakrashni bering 10.0.0.4 manzil sifatida. Qurilmaning yetib boriladigan xususiy manzilidan foydalaning, hech qachon uning ommaviy VPN kirish nuqtasini. Keyingi sakrash ish yuklamasi quyi tarmog’i allaqachon yetib boradigan manzil bo’lishi kerak. Standart marshrutni ataylab almashtirishga qaror qilmagan bo’lsangiz, ish yuklamasining qolgan marshrutlashiga tegmaslik kerak.
Qurilmani o’z quyi tarmog’ida saqlang va filial trafigini qurilmaga yuboruvchi marshrut qurilmaning o’z chiqish yo’lini ham ushlamasligiga ishonch hosil qiling. Bunday halqa nol javobli sog’lom tunnelga o’xshaydi, va buni tunda soat 2 da tuzatish juda noqulay.
Hamma esdan chiqaradigan tarmoq karta bayrog’i
Azure’da har bir tarmoq kartasi uchun IP uzatish sozlamasi bor va u standart holda o’chirilgan. U uzatuvchi karta o’ziga emas, boshqa narsaga yo’naltirilgan paketlarni qabul qilgani uchun mavjud, va ularni jimgina tashlab yuborish qolganlar uchun xavfsiz standart hisoblanadi.
az network nic update --resource-group rg-net --name appliance-nic --ip-forwarding true uni bitta interfeys uchun yoqadi. Microsoft’ning tarmoq kartasida uzatish bo’yicha ko’rsatmalari trafikni uzatuvchi har bir ulangan kartada bu sozlamani talab qiladi, shuning uchun bitta kartali qurilma ham uni o’sha kartada sozlashi kerak.
Bayroq marshrut ham emas, xavfsizlik devori qoidasi ham emas. Uni yoqish faqat ruxsat beradi, boshqa hech narsa.
Mehmon shifri ochilgan paket bilan nima qiladi
Tunnel tugagach, qurilmaning o’z steki keyingi qarorni qabul qiladi. Linux mehmonida IPv4 uzatish ishlash vaqti sozlamasi bo’lib, sysctl -w net.ipv4.ip_forward=1 keyingi yuklanishgacha davom etadi. Uni o’rniga faylga saqlang /etc/sysctl.d/ shu tarzda. Ishlab chiqaruvchi qurilmasining o’z ekvivalenti bor, va ishlab chiqaruvchi platformasiga yopishtirilgan Linux ko’rsatmalari odatda hech narsa qilmaydi.
Mehmonning xavfsizlik devori siyosati yana alohida, ish yuklamasining tarmoq xavfsizligi guruhi ham shunday. VM’ning ommaviy manziliga UDP 500 va 4500 ruxsat berish tunnelni himoya qiladi; shifri ochilgan filial so’rovi ish yuklamasi portiga yeta oladimi-yo’qmi, bu haqda hech narsa demaydi.
Bitta so’rov va uning javobini kuzatib boring
Bitta ruxsat etilgan oqimni tanlang va uni boshidan oxirigacha kuzatib boring. Filialga marshrut kerak 10.0.10.0/24 sayt ulanishi orqali, qurilmaga ish yuklamasi quyi tarmog’iga yetkazish yo’li kerak, ish yuklamasi quyi tarmog’iga esa filialga qarab qaytish marshruti kerak.
Dizayn filialning manba manzilini saqlaydimi yoki uni o’giradimi, buni erta hal qiling. NAT ish yuklamasi ko’radigan narsani o’zgartiradi, shuning uchun uning kirish qoidalari siz haqiqatan tanlagan modelni tasvirlashi kerak, taxmin qilingan shlyuz manzilini emas.
Muvaffaqiyatli qo’l berish o’sha zanjirning bitta bo’g’inini isbotlaydi. Javob o’sha qurilma orqali qaytib kelganda va ish yuklamasining o’z siyosati ruxsat berganda yo’l to’liq bo’ladi.